Zakaj je obseg odvisen od poti podatkov o kartici
PCI DSS (Payment Card Industry Data Security Standard) obstaja zato, da varuje podatke o imetniku kartice, kjerkoli so shranjeni, obdelani ali posredovani. Za trgovca praktična teža tega standarda ni enaka za vsako podjetje. Odvisna je od tega, kateri od vaših sistemov med transakcijo dejansko pride v stik s številko kartice, datumom veljavnosti ali CVV kodo. Več vaše lastne infrastrukture je na tej poti, večji del nje spada v okvir PCI DSS.
Kadar številke kartice sploh ne vidite
Nekateri trgovci sploh nikoli ne pridejo v stik s surovo številko kartice na svojih strežnikih. Kupec vnese podatke o kartici na strani, ki jo ponuja in varuje plačilni ponudnik, trgovčevi sistemi pa prejmejo le rezultat (odobreno, zavrnjeno) in sklic na transakcijo. Pri tem modelu je trgovčevo lastno okolje v veliki meri zunaj tistega dela PCI DSS, ki se nanaša na shranjevanje ali posredovanje podatkov o kartici, saj ti podatki dejansko nikoli ne pridejo do njega.
Preusmeritve in gostovane strani za zaključek plačila
Pogosta pot, po kateri trgovci to dosežejo, je, da kupca preusmerijo na gostovano stran za zaključek plačila, kot je tista, ki jo ponuja omwio, namesto da bi sami izdelali obrazec za vnos podatkov o kartici. Kupec se preusmeri na gostovano stran, tam dokonča plačilo in se po zaključku transakcije vrne na trgovčevo spletno mesto. Ker trgovčevo lastno spletno mesto nikoli ne zbira ali se dotika polj s podatki o kartici, ta pristop pušča velik del zahtev PCI DSS zunaj trgovčevih lastnih sistemov.
Kadar vaši sistemi podatke o kartici obdelujejo ali shranjujejo neposredno
Drugi trgovci sami izdelajo obrazce za vnos podatkov o kartici, podatke o kartici usmerjajo skozi lastne strežnike, preden dosežejo obdelovalca, ali podatke o kartici shranjujejo za kasnejšo uporabo. Katerakoli od teh odločitev trgovčeve lastne sisteme postavi v tisti del podatkov o kartici, ki je za PCI DSS najbolj neposredno pomemben: shranjevanje, obdelavo in posredovanje. V takšni ureditvi je treba upoštevati ljudi, procese in sisteme, ki med transakcijo pridejo v stik s podatki o kartici, ter vsa mesta, kjer so ti podatki shranjeni, kot del celotne slike skladnosti trgovca.
Kako ohraniti majhen obseg skladnosti
Ne glede na velikost velja splošno pravilo: manj vaših lastnih sistemov vidi surove podatke o kartici in krajši je čas, ko jih kateri koli sistem hrani, manjši je del vašega podjetja, za katerega zahteve PCI DSS veljajo v celoti. Uporaba tokenizacije, gostovanih plačilnih strani ali ponudnikovega lastnega poteka zaključka plačila so vse načini, s katerimi trgovci zmanjšajo, koliko njihovega lastnega okolja je neposredno vpleteno v delo s številkami kartic, namesto da bi to obravnavo sami vzpostavljali in vzdrževali.
Posvetujte se s svojim pridobiteljem in plačilnim partnerjem
Obveznosti PCI DSS, zahteve glede preverjanja skladnosti in njihova uporaba za konkretno podjetje se v končni fazi določijo med trgovcem, njegovim pridobiteljem (acquirerjem) in, kjer je to relevantno, usposobljenim ocenjevalcem (QSA). Ta članek je splošna usmeritev v to, kako pot podatkov o kartici spremeni naravo vprašanja, ne pa nadomestilo za ta pogovor. Preden se odločite, kako bo vaš postopek zaključka plačila ravnal s podatki o kartici, velja neposredno vprašati svojega pridobitelja ali plačilnega ponudnika, kaj ta odločitev pomeni za vaše konkretne obveznosti glede skladnosti.
- Podatki o kartici nikoli ne dosežejo vaših strežnikov: vaš lastni obseg PCI DSS je manjši.
- Kupci se preusmerijo na gostovano stran za zaključek plačila: vaše spletno mesto ostane zunaj poti podatkov o kartici.
- Vaši lastni sistemi zajemajo, usmerjajo ali shranjujejo številke kartic: ti sistemi so del vašega obsega skladnosti.
- Konkretne obveznosti vedno preverite pri svojem pridobitelju ali usposobljenem ocenjevalcu.
